Améliorer le modèle de menace Cloud
Mettez à jour le modèle de menace d’un dépôt surveillé lorsque la version générée omet des hypothèses de sécurité ou des éléments du contexte de déploiement. Ce guide s’applique à Codex Security Cloud. Pour la politique du plugin local, consultez Configurer l’analyse.
Qu’est-ce qu’un modèle de menaces ?
Un modèle de menaces est un bref résumé du fonctionnement de votre dépôt sous l’angle de la sécurité. Codex Security en crée une première version à partir du code et l’utilise pour orienter les futures analyses de commits et hiérarchiser les problèmes détectés.
Un modèle de menace décrit :
- Les points d’entrée et les personnes pouvant y fournir des données
- Les frontières de confiance et les hypothèses d’authentification ou d’autorisation
- Les données sensibles et les actions privilégiées
- Les zones nécessitant une attention particulière
Par exemple :
L’API publique de gestion des comptes accepte les requêtes JSON et les téléversements de fichiers des utilisateurs authentifiés. Les utilisateurs peuvent uniquement modifier les comptes de leur propre locataire. Le service d’identité authentifie l’appelant, mais chaque gestionnaire doit vérifier l’accès au locataire. Les modifications de facturation passent par un service interne privilégié. Examinez en priorité les vérifications de locataire manquantes et les chemins de téléversement pouvant atteindre ce service.
Repérez les hypothèses incertaines. Par exemple, ne décrivez pas un point de terminaison comme exclusivement interne si ce n’est pas le cas dans le déploiement que vous souhaitez faire évaluer.
Modifier le modèle de menace
- Ouvrez le plugin Codex Security Cloud. Consultez Configurer Cloud si vous ne l’avez pas installé ou si vous n’avez pas configuré la surveillance des commits.
- Ouvrez Dépôts et sélectionnez le dépôt surveillé.
- Ouvrez Paramètres de surveillance.
- Modifiez Modèle de menace, puis sélectionnez Enregistrer.
Les modifications s’appliquent aux analyses futures.
Réexaminez le modèle après toute modification de l’authentification, des frontières entre locataires ou des services exposés. Distinguez les faits relatifs au déploiement des priorités de l’analyse.